Windows Server 2008防火墙配置攻略

　　最近微软的最新服务器操作系统WindowsServer 2008已经正式发布，在这款微软所宣称的“史上安全性最强”的服务器操作系统中，新增了很多安全方面的设计和功能，其中它的防火墙也有了重大的改进，不过对于服务器操作系统来说，系统自带的普通防火墙显然功能过于简陋，我们今天介绍的是它的高级安全Windows防火墙，这是一款让Windows Server 2008的安全性大幅提高的一个利器。

　　了解高级安全Windows防火墙

　　在“深层防御”体系中，网络防火墙处于周边层，而Windows防火墙处于主机层面。和Windows XP和Windows 2003的防火墙一样，Windows Server 2008的防火墙也是一款基于主机的状态防火墙，它结合了主机防火墙和IPSec，可以对穿过网络边界防火墙和发自企业内部的网络攻击进行防护，可以说基于主机的防火墙是网络边界防火墙的一个有益的补充。

　　与以前Windows版本中的防火墙相比，Windows Server 2008中的高级安全防火墙（WFAS）有了较大的改进，首先它支持双向保护，可以对出站、入站通信进行过滤。

　　其次它将Windows防火墙功能和Internet 协议安全(IPSec)集成到一个控制台中。使用这些高级选项可以按照环境所需的方式配置密钥交换、数据保护(完整性和加密)以及身份验证设置。

　　而且WFAS还可以实现更高级的规则配置，你可以针对Windows Server上的各种对象创建防火墙规则，配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的Windows防火墙。

　　传入数据包到达计算机时，具有高级安全性的Windows防火墙检查该数据包，并确定它是否符合防火墙规则中指定的标准。如果数据包与规则中的标准匹配，则具有高级安全性的Windows防火墙执行规则中指定的操作，即阻止连接或允许连接。如果数据包与规则中的标准不匹配，则具有高级安全性的Windows防火墙丢弃该数据包，并在防火墙日志文件中创建条目(如果启用了日志记录)。

　　对规则进行配置时，可以从各种标准中进行选择：例如应用程序名称、系统服务名称、TCP端口、UDP端口、本地IP地址、远程IP地址、配置文件、接口类型(如网络适配器)、用户、用户组、计算机、计算机组、协议、ICMP类型等。规则中的标准添加在一起;添加的标准越多，具有高级安全性的Windows防火墙匹配传入流量就越精细。

　　我们可以通过多种方式来配置Windows Server 2008防火墙和IPSec的设置和选项，下面让我们具体看一下如何来配置Window Server 2008的这款高级防火墙。

　　使用高级安全Windows防火墙管理单元管理防火墙

　　这种方式可以让你在一个界面中同时配置防火墙设置和IPS

　　ec设置，还可以在监视节点中查看当前应用的策略、规则和其它信息。

　　从启动菜单的管理工具中找到高级安全Windows防火墙，点击打开MMC管理单元，如下图。

　　图1、具有高级安全性的Windows防火墙MMC管理单元

　　从以上界面中我们可以看到，Windows 2008的高级安全Windows防火墙使用出站和入站两组规则来配置其如何响应传入和传出的流量；通过连接安全规则来确定如何保护计算机和其它计算机之间的流量。而且可以监视防火墙活动和规则。

　　下面我们来通过实际例子查看一下如何配置这几个规则。

　　首先从入站规则开始，假如我们在Windows Server 2008上安装了一个Apache Web服务器，默认情况下，从远端是无法访问这个服务器的，因为在入站规则中没有配置来确认对这些流量“放行”，下面我们就为它增加一条规则。

　　打开高级安全Windows防火墙，点击入站规则后从右边的入站规则列表中我们可以看到Windows Server 2008自带的一些安全规则，因为Apache是一款第三方应用软件，所以我们需要通过右边操作区的【新规则】来新建一条，如下图。

　　图2、选择要创建的规则类型

　　在这儿可以看到，我们可以基于具体的程序、端口、预定义或自定义来创建入站规则，其中每个类型的步骤会有细微的差别。在我们这个例子中，我们选择【程序】类型，点击下一步接下来选择具体的程序路径，如下图。

　　图3、选择程序路径

　　第三步指定对符合条件的流量进行什么操作，我们这儿当然是允许连接了，如下图

　　图4、指定操作内容

　　接下来选择应用规则的配置文件和为规则指定名称后，这条规则就创建完了，从入站规则列表中可以看到你创建的规则了，如下图。

　　图5、新创建的规则

　　现在就可以正常从远程访问你的Apache服务器了。

　　如果要对这个已经创建的规则进行修改等操作，可以在选中规则后，从右边的操作区域进行操作，如下图。

　　图6、修改规则

　　点击【属性】按钮，会弹出下图窗口，在这儿可以对规则进行更详细的修改，我们看到一条规则的可定制化属性比以前版本的规则属性要多很多。

　　图7、规则属性

　　出站规则的配置与入站规则完全相同，笔者不再重复，下面我们来看一下连接安全规则。

　　连接安全包括在两台计算机开始通信之前对它们进行身份验证，并确保在两台计算机之间正在发送的信息的安全性。具有高级安全性的 Windows 防火墙包含了 Internet 协议安全 (IPSec) 技术，通过使用密钥交换、身份验证、数据完整性和数据加密（可选）来实现连接安全。

　　对于单个服务器来说，可以使用高级安全Windows防火墙管理控制单元来对防火墙进行设置，如果在你的企业网络中有大量计算机需要设置，这种方法就不再适合，应该找一种更高效的方法。